SEO poisoning da AI e Google Ads per diffondere AMOS Stealer

Una campagna di malware molto avanzata, in corso dalla fine del 2025, sta infatti sfruttando proprio la fiducia in motori di ricerca e intelligenza artificiale per diffondere un ladro di dati chiamato AMOS per i sistemi macOS.

La prossima volta che cercherai su Google come risolvere un problema del tuo Mac, e un risultato sponsorizzato ti porterà a una conversazione di ChatGPT o Grok con la soluzione, potresti doverci pensare due volte.

Una campagna di malware sofisticata, attiva dalla fine del 2025, sta sfruttando proprio questa catena di fiducia – motore di ricerca, pubblicità, assistente AI – per diffondere un pericoloso infostealer per macOS chiamato AMOS (Atomic macOS Stealer).

L’attacco, documentato da ricercatori di sicurezza come quelli di Huntress, non viola direttamente i sistemi di OpenAI, xAI o Google, ma ne sfrutta l’autorità percepita e i meccanismi di distribuzione per colpire gli utenti finali in un modo che sfrutta l’ingegneria sociale al massimo livello.

Il modus operandi è un esempio di eleganza tecnica perversa.

I criminali informatici hanno prima creato conversazioni malevole su ChatGPT e Grok, progettate per apparire come guide di troubleshooting legittime per problemi comuni, come “come cancellare i dati su iMac” o “come installare un software specifico”.

Queste guide, generate tramite prompt engineering, istruiscono l’utente a copiare e incollare comandi specifici nel Terminale di macOS.

Successivamente, hanno utilizzato tecniche di avvelenamento SEO o hanno acquistato annunci pubblicitari su Google Ads per garantire che queste conversazioni velenose apparissero in cima ai risultati di ricerca per quelle query.

L’utente, fidandosi della fonte (il motore di ricerca di Google) e del mezzo (l’interfaccia familiare di un chatbot AI), esegue inconsapevolmente uno script che scarica e installa il malware.

Come un semplice comando nel Terminale apre le porte a un ladro di dati

La pericolosità di AMOS risiede nella sua capacità di sfruttare esecuzione fileless, utility native di macOS e automazione AppleScript per rubare dati sensibili.

Una volta eseguito il comando dal Terminale, il malware bypassa protezioni come Gatekeeper, che normalmente controllano il download di app da sviluppatori non identificati.

AMOS è progettato per una raccolta dati estremamente ampia: prende di mira password del browser, cookie di sessione, portafogli di criptovalute (come quelli di Exodus, MetaMask o Ledger Live), chat di Telegram, profili VPN, elementi del Keychain, note di Apple e file dalle cartelle Documenti e Desktop.

Una variante particolarmente insidiosa include anche una backdoor, che permette agli aggressori di mantenere un accesso persistente alla macchina compromessa ed eseguire comandi remoti arbitrari.

Questo attacco rappresenta una sfida diretta alla narrativa consolidata sulla sicurezza di macOS.

Apple ha costruito nel tempo un’enfasi sulla sicurezza hardware e di sistema e macOS include funzioni come System Integrity Protection (SIP), Gatekeeper e XProtect.

Proprio XProtect, il sistema antivirus silenzioso di Apple, utilizza firme YARA che Apple aggiorna regolarmente per bloccare l’esecuzione di malware conosciuto.

Tuttavia, campagne come quella di AMOS evidenziano il limite di queste difese quando l’utente viene convinto ad agire volontariamente, bypassando i controlli automatici.

Il malware, in questo caso, non arriva come un file .dmg sospetto da aprire, ma come una stringa di testo da incollare in uno strumento di sistema legittimo.

I criminali informatici stanno sfruttando la fiducia che le persone ripongono nell’intelligenza artificiale e nei motori di ricerca per distribuire malware.

È ingegneria sociale allo stato puro: l’attacco è indistinguibile da un aiuto legittimo.

— Ricercatore di sicurezza di Huntress

La risposta delle piattaforme coinvolte è stata un mix di silenzio, aggiornamenti di policy e, nel caso di Google, il richiamo al suo programma di sicurezza crowdsourced.

Google, che gestisce la piattaforma pubblicitaria sfruttata nella campagna, ha un programma “Bug Hunters” rivolto a ricercatori di sicurezza esterni per contribuire a mantenere sicuri i suoi prodotti.

Tuttavia, il cuore del problema non è una vulnerabilità tecnica nel suo codice, ma la difficoltà intrinseca di moderare miliardi di annunci pubblicitari in tempo reale, soprattutto quando questi reindirizzano a contenuti generati dall’utente su altre piattaforme (come le chat AI).

La campagna AMOS ha probabilmente accelerato le pressioni per un controllo più stringente sugli annunci che promuovono contenuti tecnici o di troubleshooting.

La corsa agli armamenti tra sicurezza e sfruttamento delle piattaforme

Questa vicenda non è un incidente isolato, ma il sintomo di una tendenza più ampia.

Il panorama delle minacce per macOS è in netta evoluzione, con un aumento significativo di malware sofisticati e infostealer come AMOS, spesso offerti come “malware-as-a-service” a noleggio per pochi centinaia di dollari al mese.

Parallelamente, gli strumenti di AI generativa e le piattaforme pubblicitarie sono diventati moltiplicatori di forza per gli attaccanti, permettendo loro di automatizzare la creazione di contenuti persuasivi e di massimizzare la visibilità verso target specifici.

La domanda che resta aperta, quindi, non è solo tecnica ma di responsabilità e modello di business.

Fino a che punto le piattaforme che monetizzano attraverso la pubblicità o l’accesso a potenti modelli di linguaggio sono responsabili degli abusi che avvengono sfruttando la loro interfaccia e la fiducia che gli utenti ripongono in esse?

L’eleganza tecnica dell’attacco AMOS sta nel suo aver unito i puntini tra tre ecosistemi diversi (pubblicità, AI, sistema operativo) per creare un vettore di infezione di sorprendente efficacia.

Mentre i team di sicurezza di queste aziende si affannano a tappare le falle e ad aggiornare le policy, gli attaccanti hanno già dimostrato di saper trasformare le feature più innovative del digitale in altrettanti punti di ingresso.

In un mondo dove la risposta a qualsiasi problema è a una ricerca di distanza, chi è davvero tenuto a garantire che la prima soluzione proposta non sia una trappola?